用途：在已从多工具收集原始OSINT数据后，识别跨源关联、矛盾与模式，为目标人物、组织或基础设施构建统一情报画像，并以置信度评分评估跨平台身份关联，而非仅靠关键词匹配。
主要能力与工作流：多源采集——用Sherlock枚举用户名，theHarvester收集邮箱、子域和主机，SpiderFoot跑被动扫描，并可查询泄露数据库；数据归一化——将各来源结果统一为带来源、时间戳和数据类型的JSON结构，例如运行 python3 /tmp/osint/normalize.py；AI关联——把归一化结果交给LLM做跨源关联分析、置信度评分和假阳性识别，生成JSON报告，例如运行 python3 /tmp/osint/correlate.py；实体消解——去重合并指向同一实体的记录，例如运行 python3 /tmp/osint/resolve.py；报告与可视化——生成Markdown情报画像并导出Maltego兼容CSV，例如运行 python3 /tmp/osint/report.py 和 python3 /tmp/osint/maltego_export.py。
前提：Python 3.10+及requests、json、csv；安装Sherlock、theHarvester、SpiderFoot 4.0+并运行在localhost:5001；可访问LLM API（OpenAI、Anthropic或Ollama本地模型）；可选Maltego CE及Shodan、VirusTotal、HaveIBeenPwned、Hunter.io的API密钥。必要命令如 mkdir -p /tmp/osint、pip install sherlock-project、pip install theHarvester。
适用场景：威胁行为者归因、攻击面测绘、内部威胁调查、品牌仿冒检测。
限制：开展调查前须取得书面授权并确立合法依据，遵守GDPR、CCPA等隐私法规，设定PII保留期限；置信度大于0.8的关联应经至少两个来源独立验证，并人工抽查10%至20%；避免常见用户名假阳性；确保泄露数据时效性与来源可靠。报告可能不包含陈旧或已撤回的OSINT数据。输出为结构化JSON关联报告和Markdown情报画像。其他细节暂未提供。